(57)【要約】【課題】セキュリティモジュールからの秘密情報の漏洩を防止する。【解決手段】セキュリティモジュールの物理的遮蔽１（筐体フレーム）により形成される密閉空間を、間仕切り３とセキュリティチップ４とモールド５から成る隔壁により２分割して２つの気密室６，７を形成する。セキュリティチップ４はモールド５内に埋め込まれており、モールド５にはスリットが設けられている。気密室６，７は同じ気圧で且つ外気圧より低圧（真空等）／高圧となっている。これより、筐体フレームに孔が開けられると、どちらか一方の気密室６，７の気圧が外気圧と同じになり気密室６，７間に気圧差が生じることにより発生する応力が隔壁に加わることで、セキュリティチップ４が破壊される。【選択図】      図１
2010039532.tif 000002
【特許請求の範囲】
【請求項１】
密閉空間を形成する筐体と、
前記密閉空間を二つに分割する為の隔壁であって、その一部に秘密情報を保持したセキュリティチップを有する隔壁とを備え、
前記隔壁により前記密閉空間が分割されて成る２つの気密室内の気圧は、同じであり且つ外気圧よりも高い気圧または低い気圧であることを特徴とするセキュリティモジュール。
【請求項２】
前記筐体に孔が開けられると、前記２つの気密室のうちの該孔が開けられた気密室の気圧が外気圧と同等になることで二室間に気圧差が生じることにより発生する応力が、前記隔壁に加わることにより、前記セキュリティチップを破壊することを特徴とする請求項１記載のセキュリティモジュール。
【請求項３】
前記隔壁は前記セキュリティチップが埋め込まれたモールドにより構成されており、該モールドにおいて前記セキュリティチップに対応する位置にスリットを設けてあることを特徴とする請求項１または２記載のセキュリティモジュール。
【請求項４】
前記隔壁は、前記セキュリティチップを２つのモールドで挟み込む形で該セキュリティチップと該２つのモールドとを固着させ、該各モールドの両端は、一端を前記筐体に固定し、他端を開放端とすることにより構成されることを特徴とする請求項１または２記載のセキュリティモジュール。
【請求項５】
前記セキュリティチップは導電性を有し、前記モールドは該セキュリティチップより硬度の高い絶縁体であることを特徴とする請求項３または４記載のセキュリティモジュール。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、秘密情報を保持するセキュリティチップを内蔵するセキュリティモジュールに関する。
【背景技術】
【０００２】
従来、秘密情報を保持するセキュリティチップを内蔵したセキュリティモジュールに対するタンパリング攻撃からその秘密情報を保護する方式として、セキュリティモジュール内にヘリウム等のガスをある一定の気圧に保たれるように封入し、外部からのタンパリングを内部に設置された圧力センサにより検出し、セキュリティチップ上の秘密情報を能動的に消去する方式が提案されていた（特許文献１）。
【０００３】
尚、上記“タンパリング”とは、暗号鍵や復号鍵等の秘密情報が記憶されたメモリ等を有するチップ（セキュリティチップという）から直接、秘密情報を盗用する為に、このセキュリティチップを内蔵したセキュリティモジュールの筐体等を物理的に破壊することでセキュリティチップを取り出そうとする行為を意味する。
【特許文献１】特開平１０−１８７５４６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記特許文献１記載の従来の方式の場合、外部からのタンパリングを検出してセキュリティチップ上の秘密情報の消去を能動的に行う為に、電源供給されていない時でもセキュリティチップ及びその周辺回路に対して電池等による電源供給をしておかないと、タンパリングを検出して秘密情報の消去ができなくなる問題があった。
【０００５】
本発明の課題は、電源供給等を必要とすることなく、タンパリングを検出することなく、気圧差によって生じる応力によりセキュリティチップが破壊されるようにすることで、セキュリティチップからの秘密情報の漏洩を防止することができるセキュリティモジュールを提供することにある。
【課題を解決するための手段】
【０００６】
本発明のセキュリティモジュールは、密閉空間を形成する筐体と、前記密閉空間を二つに分割する為の隔壁であって、その一部に秘密情報を保持したセキュリティチップを有する隔壁とを備え、前記隔壁により前記密閉空間が分割されて成る２つの気密室内の気圧は、同じであり且つ外気圧よりも高い気圧または低い気圧である。
【０００７】
上述した構成により、前記筐体に孔が開けられると、前記２つの気密室のうちの該孔が開けられた気密室の気圧が外気圧と同等になることで二室間に気圧差が生じることにより発生する応力が、前記隔壁に加わることにより、前記セキュリティチップを破壊する。
【０００８】
この様に、セキュリティチップが破壊されることで、セキュリティチップからの秘密情報の漏洩を防止することができる。これは、上記の通り気圧差によって発生する応力を利用して実現できるので、電源供給等を必要とすることなく、タンパリングを検出する必要もない。
【発明の効果】
【０００９】
本発明のセキュリティモジュールによれば、気圧差によって生じる応力によりセキュリティチップが破壊されるようにすることで、セキュリティチップからの秘密情報の漏洩を防止することができ、電源供給等を必要とすることなく、タンパリングを検出することなく、セキュリティモジュールからの秘密情報の漏洩を防止することができる。
【発明を実施するための最良の形態】
【００１０】
以下、図面を参照して本発明の実施の形態について説明する。
図１は、本例のセキュリティモジュールの構造例（その１）を示す図である。
本例のセキュリティモジュール１０は、例えば箱状の形状であり、図１にはその側断面図を示している。
【００１１】
図示のセキュリティモジュール１０は、図示の物理的遮蔽１（筐体フレーム）によって上記箱状等の形状となっており、当該筐体フレームによって密閉空間が形成されている。セキュリティモジュール１０内は、外気圧（例えば大気圧；１気圧）よりも低圧（例えば真空または真空に近い状態）または高圧に保たれており、セキュリティチップ４を内部に密閉している。セキュリティモジュール１０内の密閉空間は、隔壁によって図示の気密室６と気密室７に２分割されている。この隔壁は、間仕切り３及びモールド５より成り、モールド５にはセキュリティチップ４が埋め込まれている。また、間仕切り３は物理的遮蔽１（筐体フレーム）の一部であると考えることもできる。気密室６の気圧と気密室７の気圧は、同じとなっており、且つ、上記外気圧（大気圧等）よりも低い気圧または高い気圧のどちらかの状態となっている。
【００１２】
尚、モールドとは、一般的に、モールド成形するための金型を意味するが、ここでいうモールドとは、モールド成形された結果物と考えてよい。
上記モールド５は、例えば板状の形状となっている上記モールド成形物であり、その内部にセキュリティチップ４が埋め込まれている。つまり、セキュリティチップ４は、例えば樹脂モールドで封入されている（但し、信号線９をセキュリティチップ４に接続してから封入する）。具体的な一例としては、例えばセキュリティチップ４は導電性を有する半導体シリコン等であり、モールド５は絶縁体である高硬度エポキシ樹脂等であるが、この例に限るものではない。
【００１３】
間仕切り３は、本例では図示のように２つ設けられており、それぞれその一端は物理的遮蔽１（筐体フレーム）の内壁に固定されており、他端には孔２が空けられている。この孔２は、図示のように、モールド５を嵌め込む（嵌合させる）ことができる形状となっている。モールド５の両端を、それぞれ、上記２つの間仕切り３の各孔２に嵌め込む。これは、モールド５と間仕切り３との間に隙間が出来ないように（空気の通り抜けが無いように）密着して嵌め込み、更に接着等する。もし、隙間が生じてしまう場合には、例えば樹脂を注入する等の何らかの対策をとればよく、結果的に空気の通り抜けが無いように出来れば何でもよい。上記間仕切り３とモールド５（セキュリティチップ４を含む）とから成る隔壁によって、セキュリティモジュール１０内の空間が、図示の気密室６と気密室７に２分割されることになる。
【００１４】
尚、上記の通り、間仕切り３は物理的遮蔽１（筐体フレーム）の一部と考えることもでき、更に間仕切り３を無くして、筐体フレームの内壁に孔を設ける等することで、モールド５を直接筐体フレームに接続する構成としてもよいので、上記隔壁はモールド５（セキュリティチップ４を含む）のみによって構成されると考えることもできる。よって、隔壁は少なくともモールド５（セキュリティチップ４を含む）を有するものと見做すことができる。
【００１５】
セキュリティチップ４は脆弱かつ破壊され易い材質により構成されるようにし、モールド５は、例えばセキュリティチップ４よりも硬度の高い材質により構成されるものとする。この場合、モールド５に対して、垂直方向（図上、図示のＹ軸方向）に力が加わった場合に破壊され易くなるような加工を施すことが望ましく、図示の例では溝（スリット）を設けてあるが、この例に限らない。
【００１６】
そして、上記のように間仕切り３で仕切られた気密室６と気密室７を、例えば、真空または真空に近い状態にしてある。この例に限らず、上記の通り、外気圧よりも高い気圧としてもよい。何れの場合でも、上記の通り、気密室６の気圧と気密室７の気圧は同じとなるようにしている。
【００１７】
上記構成のセキュリティモジュール１０に対して、外部からのタンパリングにより、物理的遮蔽１（筐体フレーム）が破壊された場合、気密室６、気密室７のどちらか一方（破壊された側）の気圧は、外気圧と同じになる。この為、気密室６と気密室７とに気圧差が生じることになる。例えば、気密室６の物理的遮蔽１が破られたとき、気密室６に外気が侵入して気密室６と気密室７の間に気圧差が発生する。この気圧差により生じる力（応力）によって、モールド５がスリットに沿って破壊されることに伴ってセキュリティチップ４は破損する。また、その反対に、気密室７の物理的遮蔽１が破られた場合でも、気密室７に外気が侵入して気密室６と気密室７の間に気圧差が発生し、これによる応力が隔壁に加わることで、モールド５がスリットに沿って破壊されることに伴ってセキュリティチップ４は破損する。
【００１８】
尚、スリットは必ずしも必要とは限らない。上記の通り、セキュリティチップ４は脆弱かつ破壊され易い材質であるので、上記応力が隔壁に加わることでモールド５が変形（弓なりにしなる等）することに伴って、セキュリティチップ４が破壊されることも考えられる。
【００１９】
尚、“タンパリング”とは、既に従来技術で説明してあるように、暗号鍵や復号鍵等の秘密情報が記憶されたメモリ等を有するチップ（セキュリティチップ４）から直接、秘密情報を盗用する為に、このセキュリティチップ４を内蔵したセキュリティモジュール１０の筐体フレーム１等を物理的に破壊することでセキュリティチップ４を取り出そうとする行為を意味する。
【００２０】
気密室６、気密室７の気圧を外気圧よりも高い気圧とする場合も、上記外気圧よりも低い気圧（真空等）にする場合と略同様である。すなわち、この場合には、間仕切り３及びセキュリティチップ４を含むモールド５によって仕切られた気密室６と気密室７が、外気圧（例えば大気圧；１気圧）よりも高い気圧（上記の通り、両者は同じ気圧になっている）となっているセキュリティモジュール１０に対して、外部からのタンパリングにより、物理的遮蔽１（筐体フレーム）が破壊された場合、上記と同様に気圧差が発生することでセキュリティチップ４が破損することになる。例えば、気密室６の物理的遮蔽１が破られたとき、気密室６内部の気体が外部に流出して気密室６と気密室７の間に気圧差が発生し、モールド５がスリットに沿って破壊されることに伴ってセキュリティチップ４は破損する。また、その逆に、気密室７の物理的遮蔽１が破られた場合でも、気密室７内部の気体が外部に流出して気密室６と気密室７の間に気圧差が発生し、モールド５がスリットに沿って破壊されることに伴ってセキュリティチップ４は破損する。
【００２１】
尚、図１に示す構成において、物理的遮蔽１には外部と電気信号を送受するための端子８が備え付けられ、信号線９を介してセキュリティチップ４と電気的に接続されている。物理的遮蔽１と端子８は物理構造的もしくは化学的に強固に接着されており、物理的遮蔽１と端子８の剥離が困難であるようにしている。
【００２２】
上記の通り、本例のセキュリティモジュール１０は、密閉空間を形成する筐体を有し、この筐体内の密閉空間を２つの気密室６，７に気密分割する為の隔壁を設けている。この隔壁は、少なくともモールド５を有しており、モールド５にはスリットが設けられている。モールド５には、秘密情報を保持するセキュリティチップ４がスリットに密接する形で埋め込まれている。モールド５とセキュリティチップ４とは、例えば接着されているが、この例に限らない。そして、セキュリティモジュール１０内部を真空あるいは加圧状態にした構成となっており、２つの気密室６，７は同じ気圧としている。
【００２３】
これより、外部からタンパリングが行われた場合に、モジュール１０内部の２つの気密室６，７のうちどちらか一方の気密室が外気圧と同等となることにより、二室間で発生した気圧差により隔壁に応力が発生することでセキュリティチップ４が物理的に破壊される。これによってセキュリティチップ４の秘密情報の取得を困難にするものである。
【００２４】
この様に、本手法では、セキュリティモジュールの耐タンパ性を実現する上で、能動的に秘密情報の消去を行う為の回路及び内部電池を備える必要なく、セキュリティチップの受動的破壊により秘密情報の取得を困難にすることができる。
【００２５】
図２は、本例のセキュリティモジュールの構造例（その２）を示す図である。
図２の構成においても、その機能は図１の構成と略同様である。すなわち、セキュリティモジュール内の密閉空間を、セキュリティチップ４を含む隔壁によって２つに分割して２つの気密室を形成し、これら気密室は同じ気圧で且つ外気圧よりも高い／低い気圧とすることで、２つの気密室の何れか一方の物理的遮蔽１が破られたとき、二室間に気圧差が生じることで生じる応力によりセキュリティチップ４を物理的に破壊するものである。
【００２６】
図１との違いは、隔壁の構造である。つまり、ここでは、隔壁の構造の他の一例を示すものである。尚、隔壁の構造は、図１、図２に示す例に限定するものではなく、他の構造としてもよい。すなわち、隔壁には必ずセキュリティチップ４が含まれており、二室間に気圧差が生じることで生じる応力によりセキュリティチップ４を物理的に破壊される構成であればなんでもよい。
【００２７】
図２は、図１と同様に、例えば箱状の形状となっているセキュリティモジュール１０の側断面図を示すものであり、図示のセキュリティモジュール２０は、図示の物理的遮蔽１１（筐体フレーム）によって密閉空間を形成しており、この密閉空間を隔壁によって図示の気密室１６と気密室１７に２分割している。この隔壁は、図示の例では、間仕切り１３とセキュリティチップ１４とモールド１５とによって構成される。気密室１６の気圧と気密室１７の気圧は、同じとなっており、且つ、外気圧（大気圧；１気圧等）よりも低圧または高圧のどちらかの状態となっている。
【００２８】
間仕切り１３は、本例では図示のように２つ設けられており、それぞれその一端は物理的遮蔽１１（筐体フレーム）の内壁に固定されており、他端には孔１２が空けられている。上記の通り、間仕切り１３は筐体フレームと一体であるものであってもよいし、無くてもよい。間仕切り１３が無い構成とする場合には、上記孔１２と同様の孔が、筐体フレームの内壁に設けられる等することになる。
【００２９】
この孔１２は、図示のように、モールド１５を嵌め込む（嵌合させる）ことができる形状となっているが、図１とは異なり、その位置が互いに垂直方向（図示のＹ軸方向）にズレがある状態となっている。本例では、図示の通りモールド１５は２つあり、上記各間仕切り１３の各孔１２には、この２つのモールド１５の何れか一方が嵌め込まれて接着等される。これは、図１の場合と同様、間仕切り１３−モールド１５間に隙間が出来ないようにする（空気の通り抜けが出来ないようにする）。
【００３０】
このようにして、各モールド１５は、その一端が間仕切り１３を介して筐体フレームに固定されているが、図示の通り他端を開放端としている。
各モールド１５は、図１のモールド５と同様に板状の形状となっているが、この例では図示の通りモールド５よりも薄い板となっており、上記応力が加わったときに変形し易く（弓なりにしなり易く）なっている。
【００３１】
上記各モールド１５を各々対応する間仕切り１３の孔に嵌め込むと、上記の通り垂直方向にズレがあることから、２つのモールド１５間に隙間が生じ、この隙間を埋める形で、２つのモールド１５間にセキュリティチップ１４が挿入されている。そして、挿入されたセキュリティチップ１４と各モールド１５とを接合（例えば接着）することにより、隔壁が形成されることになり、セキュリティモジュール２０内の密閉空間が図示の気密室１６と気密室１７に２分割されることになる。
【００３２】
ここで、セキュリティチップ１４は、脆弱かつ破壊され易い材質により構成されているものとし、モールド１５はセキュリティチップ１４よりも硬度の高い材質により構成されるものとする。具体的な一例としては、例えばセキュリティチップ１４は導電性を有する半導体シリコン等であり、モールド１５は絶縁体である高硬度エポキシ樹脂等であるが、この例に限るものではない。
【００３３】
また、モールド１５とセキュリティチップ１４との間の接着強度よりもモールド１５と間仕切り１３との間の接着強度が高いものとし、モールド１５とセキュリティチップ１４との間の接着強度はセキュリティチップ１４の材質の強度よりも十分高いものとする。これらの例に限らないが、気圧差による応力が加わったときに、セキュリティチップ１４が破壊されるよりも先に接着面が剥がれてしまうようなことが無いようにする。
【００３４】
そして、図１の場合と同様に、気密室１６と気密室１７を、同じ気圧とし且つ外気圧よりも高い／低い気圧としている。ここでは、真空または真空に近い状態としている。
この様な構成とすることで、上記構成のセキュリティモジュール２０に対して、外部からのタンパリングにより、物理的遮蔽１１（筐体フレーム）が破壊された場合、気密室１６、気密室１７のどちらか一方（破壊された側）の気圧は、外気圧と同じになる。この為、気密室１６と気密室１７とに気圧差が生じることになる。例えば、気密室１６の物理的遮蔽１１が破られたとき、気密室１６に外気が侵入して気密室１６と気密室１７の間に気圧差が発生する。この気圧差により生じる力（応力）が隔壁に加わることで、モールド１５が変形する（しなる）ことによってセキュリティチップ１４は破損する。図２に示す構成により、モールド１５はモールド５に比べて、比較的大きく変形するようになっている。セキュリティチップ１４は、主に、モールド１５との接着面に加わる力によってこの接着面（セキュリティチップ１４の表面）から破壊される（例えば、真っ二つになる）。
【００３５】
また、気密室１７側の物理的遮蔽１１が破られた場合でも、同様に、気密室１７に外気が侵入して気密室１６と気密室１７の間に気圧差が発生し、これによって生じる応力が隔壁に加わってモールド１５が変形してセキュリティチップ１４は破損する。
【００３６】
尚、上記符号１１〜１５の各構成の材質は、図１における符号１〜５の各構成と材質と同じであってよい。
気密室１６と気密室１７を外気圧よりも高い気圧とする場合も、上述した低い気圧（真空等）とする場合と略同様である。
【００３７】
すなわち、この場合、外部からのタンパリングにより、気密室１６の物理的遮蔽１１が破られたとき、気密室１６内部の気体が外部に流出して気密室１６と気密室１７の間に気圧差が発生し、モールド１５とセキュリティチップ１４との間の接着面に沿ってセキュリティチップ１４は破損する。また、気密室１７の物理的遮蔽１１が破られた場合も、同様に、気密室１７内部の気体が外部に流出して気密室１６と気密室１７の間に気圧差が発生し、これによる応力によってモールド１５が変形してセキュリティチップ４は破損する。
【００３８】
尚、図２における端子１８、信号線１９は、図１の端子８、信号線９と同じであり、ここでは特に説明しない。
図３に、上記セキュリティモジュールの製造方法を示す。ここでは、図１のセキュリティモジュール１０を例にするが、図２のセキュリティモジュール２０でも略同様にして製造できる。但し、ここでは、上記隔壁は既に形成済みであり、セキュリティモジュール１０内の気圧を、外気圧よりも高い／低い気圧とする為の方法を示す。
【００３９】
まず、この段階のセキュリティモジュール１０は、各気密室６，７それぞれにおいて、物理的遮蔽１（筐体フレーム）に、孔２１、２２が設けられている。つまり、この段階では未だセキュリティモジュール１０内は密閉状態にはなっておらず、外気が流入可能となっている。つまり、図３に示すようにモジュール内部の二つの気密室６，７（但し、未だ気密状態にはなっていない）の各々の筐体フレームにそれぞれ孔２１および孔２２が開いている以外は、製品としての最終的な形態と同一なレベルまで組み立てられているものとする。
【００４０】
この状態のセキュリティモジュール１０を、密閉空間３１内の気圧を調節可能な装置３０における当該密閉空間３１に投入する。装置３０は、例えば減圧・加圧両用タイプの真空ポンプ等であり、密閉空間３１内を所望の気圧へと減圧または加圧することができる。上記の通り、孔２１、２２が開けられているので、セキュリティモジュール１０の各気密室６，７の気圧は、密閉空間３１の気圧と同じになる。これより、装置３０によって、セキュリティモジュール１０内部の気密室６，７の気圧を、セキュリティモジュール１０が提供するセキュリティ機能を実現する為に必要な所定の気圧にまで加圧ないしは減圧することができる。そして、所定の気圧に到達したら、部材２３および部材２４をそれぞれセキュリティモジュール１０の孔２１および孔２２に挿入し、化学的処理等によりセキュリティモジュール１０の物理的遮蔽１に対して強固に接着させて（あるいは溶接等であってもよい）、セキュリティモジュール１０を完成させる。これらの作業は、例えば密閉空間３１に設置されている不図示の産業用ロボット等を遠隔操作すること等により実現する。部材２３および部材２４の材質は、例えば物理的遮蔽１の材質と同じであってよい。
【００４１】
上述した本手法により、電源供給等を必要とすることなく、タンパリングを検出することなく、気圧差によって生じる応力によりセキュリティチップが破壊されるようにすることで、セキュリティチップからの秘密情報の漏洩を防止することができる。
【図面の簡単な説明】
【００４２】
【図１】本例のセキュリティモジュールの構造例（その１）を示す図である。
【図２】本例のセキュリティモジュールの構造例（その２）を示す図である。
【図３】本例のセキュリティモジュールの製造方法を示す図である。
【符号の説明】
【００４３】
１０  セキュリティモジュール
１  物理的遮蔽（筐体フレーム）
２  孔
３  間仕切り
４  セキュリティチップ
５  モールド
６  気密室
７  気密室
８  端子
９  信号線
２０  セキュリティモジュール
１１  物理的遮蔽（筐体フレーム）
１２  孔
１３  間仕切り
１４  セキュリティチップ
１５  モールド
１６  気密室
１７  気密室
１８  端子
１９  信号線
３０  装置
３１  密閉空間
２１  孔
２２  孔
２３  部材
２４  部材
【図１】
2010039532.tif 000003
【図２】
2010039532.tif 000004
【図３】
2010039532.tif 000005